A principios de 2024, el sector de salud de Estados Unidos sufrió un ciberataque devastador contra Change Healthcare, un actor clave en los procesos de tecnología sanitaria a nivel nacional. El ataque interrumpió por completo las operaciones de Change Healthcare y generó ondas de choque en todo el sector de salud, afectando a millones de estadounidenses que dependen de servicios impulsados por los proveedores afectados, en particular las farmacias.
Y todo se originó por un solo ataque.
Meses después, las repercusiones todavía resuenan en toda la industria, lo que resalta la urgente necesidad de medidas sólidas de ciberseguridad en la infraestructura de salud. Entonces, ¿hacia dónde vamos desde aquí?
Puntos clave
- El ataque de ransomware de 2024 a Change Healthcare interrumpió las operaciones de farmacias en todo el país, les costó a los proveedores más de $100 millones diarios en pérdidas y, finalmente, resultó en casi $2 mil millones en anticipos pagados a las organizaciones de salud afectadas.
- Los ciberataques a organizaciones de salud ahora afectan a casi 6 de cada 10 proveedores, y la amenaza sigue volviéndose más sofisticada y frecuente de cara a 2025.
- Las farmacias son especialmente vulnerables porque se encuentran en la intersección de datos sensibles de pacientes, transacciones financieras y flujos de trabajo críticos de recetas, lo que las convierte en objetivos de alto valor para los grupos de ransomware.
- Las defensas proactivas —incluidas las evaluaciones de riesgo, la capacitación de empleados, la protección de endpoints y la planificación de respuesta a incidentes— son las herramientas más eficaces que tienen las farmacias para evitar convertirse en el próximo titular.
¿Qué pasó en el ciberataque a farmacias de 2024?
El ataque a Change Healthcare no ocurrió de forma aislada: se desarrolló a lo largo de semanas y meses, con consecuencias que repercutieron en cada rincón del sistema de salud. A continuación, un desglose de cómo se sucedieron los hechos:
21 de febrero de 2024 — Comienza el ataque. Change Healthcare, la división tecnológica de UnitedHealth Group responsable de la facturación y los sistemas de datos de salud, fue víctima de un ataque de ransomware orquestado por el grupo cibercriminal ALPHV/BlackCat. Al descubrirlo, UnitedHealth Group actuó con rapidez: "Una vez que tomamos conocimiento de la amenaza externa, en interés de proteger a nuestros socios y pacientes, tomamos medidas inmediatas para desconectar los sistemas de Change Healthcare y evitar un impacto mayor".
22 de febrero de 2024 — Las operaciones de las farmacias se paralizan A pesar de las afirmaciones de la empresa sobre una respuesta rápida, las funciones principales —incluida la prescripción electrónica para servicios de farmacia— permanecieron fuera de línea hasta el día siguiente. Para una empresa que maneja aproximadamente 15 mil millones de transacciones al año, esto era solo el comienzo.
Finales de febrero a principios de marzo de 2024 — Las repercusiones se amplían. La interrupción del sistema impidió que millones de pacientes accedieran a recetas vitales. Las farmacias de todo el país —desde farmacias comunitarias independientes hasta grandes cadenas— no podían procesar reclamos de seguros ni verificar cobertura en tiempo real. A los pacientes se les negaba la atención o debían pagar de su bolsillo por medicamentos que necesitaban a diario.
Mediados de marzo de 2024 — Aumenta la presión financiera. Incluso después de que los sistemas se restablecieron parcialmente, muchos proveedores de salud —especialmente consultorios pequeños y farmacias independientes— seguían enfrentando dificultades para presentar reclamos y recibir pagos. Empresas gigantes como CVS Health informaron problemas continuos con el procesamiento de reclamos de seguros semanas después del ataque inicial. Las estimaciones sugerían pérdidas de más de $100 millones diarios para los proveedores de salud mientras persistían los problemas del sistema.
Marzo de 2024 — Se paga el rescate Los informes confirmaron que se pagó un rescate de aproximadamente $22 millones en Bitcoin a los atacantes. A pesar del pago, la interrupción continuó, y un segundo grupo de ransomware supuestamente intentó extorsionar a Change Healthcare con los mismos datos robados.
Hasta mediados de 2024 — El costo de la recuperación. Cuando todo se calmó, Change Healthcare había pagado casi $2 mil millones en adelantos para ayudar a los proveedores de salud afectados a cubrir el déficit financiero causado por la interrupción, un costo asombroso que ni siquiera toma en cuenta el rescate en sí, la exposición legal o el daño reputacional. Para una empresa que atiende a 152 millones de clientes, el ataque fue catastrófico. Para las entidades de salud más pequeñas que dependían de Change Healthcare como su infraestructura principal de transacciones y facturación, fue existencial.
Y todo esto a partir de un solo ataque.
Las consecuencias continuas
Como te imaginarás, la interrupción del sistema afectó a millones de personas, bloqueando temporalmente el acceso a recetas médicas vitales. Pero incluso después de que los sistemas se restauraron por completo, muchos proveedores de salud, en especial los más pequeños, siguieron enfrentando dificultades para presentar reclamos y recibir pagos hasta bien entrado marzo. Incluso empresas gigantes como CVS Health reportaron problemas para procesar reclamos de seguros durante semanas después del ataque de ransomware. Además, el costo financiero de la interrupción fue asombroso, con algunas estimaciones que sugieren pérdidas de más de $100 millones diarios para los proveedores de salud mientras persistían los problemas del sistema.
Cuando todo terminó, ChangeHealth había pagado casi $2 mil millones en adelantos para ayudar a los proveedores de salud afectados, y eso sin contar el monto del rescate que sumó alrededor de $22 millones en Bitcoin. Entonces, sí, para una empresa con 152 millones de clientes, el ataque de ransomware fue devastador. Pero también fue catastrófico para la enorme cantidad de entidades de salud que dependían de ellos para sus transacciones y procesos principales.
Y, de nuevo, todo esto a partir de un solo ataque.
La respuesta
No es un secreto que los ciberataques contra organizaciones de salud se dispararon al inicio de la pandemia de COVID-19. Pero incluso después del pico de la pandemia, los ataques han persistido y se han intensificado, y ahora afectan a casi 6 de cada 10 organizaciones de salud. Los ciberataques se han vuelto más frecuentes y sofisticados, apuntan a datos sensibles de pacientes, interrumpen servicios de salud críticos y ponen en riesgo la atención de los pacientes.
El ciberataque a Change Healthcare es otro ejemplo más, pero la reacción ha sido mucho más urgente y de mayor alcance que la de ataques notables anteriores. El ataque a Change Healthcare provocó respuestas contundentes de figuras prominentes como el líder de la mayoría del Senado, Chuck Schumer, y organizaciones médicas líderes como la American Medical Association (AMA) y la American Hospital Association (AHA). Cada una emitió llamados urgentes a la acción, destacando el enorme impacto de la filtración en los médicos y en la prestación de atención médica a nivel nacional.
Nueva acción gubernamental
Como era de esperarse, ataques de ransomware como el de Change Healthcare han impulsado al Departamento de Salud y Servicios Humanos (HHS) a intensificar aún más sus lineamientos de ciberseguridad en evolución. Estas nuevas directrices enfatizan enfoques proactivos como evaluaciones de riesgo, capacitación de empleados y planes de respuesta a incidentes más sólidos.
El HHS ahora exige la notificación más rápida de incidentes de ransomware e impone sanciones por incumplimiento. Las sanciones se han convertido en un foco de atención más reciente para el departamento. En un caso notable a fines de 2023, el HHS resolvió su primera infracción de la HIPAA vinculada con ransomware con Doctors' Management Services. Esta firma de gestión médica con sede en Massachusetts enfrentó una multa de $100.000 por medidas de seguridad insuficientes y por no cumplir con las regulaciones de la HIPAA. Y si bien se trata sin duda de una multa considerable, se espera que sea pequeña en comparación con futuros castigos: el HHS se ha comprometido a reforzar las sanciones y los esfuerzos de cumplimiento, lo que indica consecuencias más estrictas para las infracciones de cumplimiento derivadas de ataques de ransomware.
Cómo proteger tu farmacia de los ciberataques
Las farmacias ocupan una posición especialmente vulnerable dentro del ecosistema de salud. Manejan datos sensibles de salud de los pacientes, procesan grandes volúmenes de transacciones financieras y dependen de sistemas interconectados —desde software de gestión de farmacias hasta plataformas de facturación de seguros— que crean múltiples puntos de entrada potenciales para los atacantes.
Esto es lo que las farmacias pueden hacer ahora mismo para reducir su exposición:
1. Realiza evaluaciones de riesgo periódicas
No puedes defender lo que no entiendes. Una evaluación de riesgo exhaustiva identifica tus sistemas más vulnerables, saca a la luz brechas en tu postura de seguridad y te ayuda a priorizar en qué invertir tus defensas. Esto no es un ejercicio único: debe realizarse al menos una vez al año y después de cualquier cambio significativo en tu entorno tecnológico.
2. Capacita a tu personal, de forma constante
El error humano sigue siendo una de las principales causas de los ciberataques exitosos. Los correos de phishing, la ingeniería social y el robo de credenciales dependen de que alguien en tu organización cometa un error. Una capacitación en ciberseguridad regular y específica para cada rol ayuda a tu equipo a reconocer las amenazas antes de que se conviertan en incidentes. Haz que el security awareness training sea parte de tu cultura, no solo un requisito anual.
3. Implementa la autenticación multifactor (MFA) en todas partes
Según los informes, el ataque a Change Healthcare obtuvo acceso inicial mediante credenciales robadas, ante la ausencia de MFA. Implementar MFA en todos los sistemas —incluyendo herramientas de acceso remoto, correo electrónico y plataformas de gestión de farmacias— es uno de los pasos defensivos más efectivos y de menor costo disponibles. Hay muy poca justificación para no tenerlo implementado.
4. Invierte en Detección y respuesta para endpoints (EDR)
Las farmacias suelen operar una combinación de dispositivos antiguos y nuevos, muchos de los cuales pueden no recibir actualizaciones de seguridad consistentes. Las herramientas de detección y respuesta para endpoints monitorean los dispositivos en tiempo real, marcando actividad sospechosa antes de que pueda propagarse. Esto es especialmente crítico para las farmacias que usan sistemas heredados que pueden no recibir parches regulares de los proveedores.
5. Ten un plan de respuesta a incidentes, y ponlo a prueba
Cuando ocurre un ataque, los primeros 30 minutos importan enormemente. Las organizaciones que cuentan con un plan de respuesta a incidentes practicado y documentado contienen el daño más rápido y se recuperan con mayor rapidez que aquellas que lo improvisan en tiempo real. Tu plan debe definir a quién se llama, qué sistemas se aíslan, cómo te comunicas con pacientes y personal, y cómo involucras a expertos externos en ciberseguridad.
6. Entiende tu riesgo con terceros
Change Healthcare era un proveedor externo. UNFI también lo era. La seguridad de tu farmacia es tan fuerte como el eslabón más débil de tu ecosistema de proveedores. Conoce qué plataformas de terceros utilizas, a qué datos acceden y cómo es su postura de seguridad. Pregunta a los proveedores sobre sus capacidades de respuesta a incidentes y asegúrate de que los contratos aborden claramente las responsabilidades de seguridad de datos.
7. Haz copias de seguridad de tus datos, y mantenlas fuera de línea
El ransomware funciona cifrando tus datos y exigiendo un pago para restaurar el acceso. Las organizaciones con copias de seguridad limpias, recientes y fuera de línea tienen mucha más ventaja en una situación de ransomware: pueden restaurar sus operaciones sin pagar el rescate. Prueba tus copias de seguridad regularmente para asegurarte de que realmente se puedan recuperar cuando las necesites.
8. Mantente al día con los requisitos de cumplimiento normativo
El HHS está reforzando activamente la aplicación de la HIPAA en relación con el ransomware y los incidentes de ciberseguridad. Adelantarse a los requisitos de cumplimiento normativo no se trata solo de evitar multas: se trata de construir la base de seguridad que realmente protege a tus pacientes y a tu negocio.
¿Y ahora qué?
El ciberataque a Change Healthcare no fue el primero de 2024, y definitivamente no será el último. A fines de abril, la cadena de farmacias canadiense London Drugs se vio obligada a cerrar sus 79 ubicaciones como medida de precaución tras lo que describieron como un "incidente de ciberseguridad". A pesar del cierre, la cadena aseguró a clientes y empleados que no había evidencia de que sus datos se hubieran visto comprometidos. Según un comunicado, la empresa "tomó contramedidas para proteger su red y sus datos, incluyendo la contratación de expertos líderes en ciberseguridad externos para ayudar con la contención, la remediación y la realización de una investigación forense". La respuesta rápida y proactiva de London Drugs probablemente evitó lo que podría haber sido un desenlace muy distinto.
El ataque de ransomware a Change Healthcare y a otras organizaciones del sector de la salud es una llamada de atención sobre la necesidad urgente de mejorar la ciberseguridad en la industria de la salud. Después de todo, a estas alturas, la ciberseguridad no es solo un asunto tecnológico; es un asunto de tu salud y seguridad. Es fundamental que las organizaciones de salud prioricen e inviertan en defensas de ciberseguridad para proteger los datos de los pacientes y los sistemas críticos. Esto incluye implementar estrategias integrales de gestión de riesgos, evaluaciones de seguridad periódicas y programas de capacitación para empleados que refuercen la conciencia de seguridad.
Descubre cómo la Huntress Security Platform puede ayudar a proteger los datos de los pacientes, resguardar la infraestructura crítica y garantizar la integridad del sistema de salud en medio de amenazas constantes.
Solicita una demo gratis y compruébalo tú mismo.
